UJAWNIAMY. Odkryliśmy krytyczne błędy w poczcie rządu i Sejmu

Szymon Jadczak, Patryk Słowik

W dobie kryzysu związanego z tajemnicą korespondencji, który dotknął polskich polityków, postanowiliśmy sprawdzić, jak zabezpieczone są ich skrzynki służbowe. Wykorzystaliśmy do tego maile, które rząd sam do nas wysyłał w ostatnich miesiącach.

Podczas pracy nad materiałem porozmawialiśmy z kilkudziesięcioma ekspertami, kilkunastoma politykami, przeprowadziliśmy kilka prowokacji i przeanalizowaliśmy kilkaset stron dokumentów. W tym czasie - gdy sprawdzaliśmy bezpieczeństwo m.in. poczty sejmowej - okazało się, że przestępcy uzyskali bezprawny dostęp do skrzynek publicznych. Agencja Bezpieczeństwa Wewnętrznego poinformowała w piątek 2 lipca, że "działania wymierzone w bezpieczeństwo skrzynek poczty elektronicznej posłów na Sejm RP identyfikujemy jako część operacji dezinformacyjnej prowadzonej przeciwko Polsce".

Zanim jeszcze hakerzy i służby pokazali społeczeństwu, że nieautoryzowany dostęp dotyczył nie tylko skrzynek prywatnych, lecz także służbowych, postanowiliśmy to sprawdzić.

Zaczęliśmy od najprostszego testu. Dwóch byłych pracowników Kancelarii Sejmu - jeden zakończył pracę w 2015 r., drugi w 2018 r. - spróbowało się zalogować na swoje sejmowe skrzynki pocztowe. Obaj – korzystając z dawnych loginów i haseł – bez trudu to uczynili.

Co to oznacza? Osoby, które od dawna nie pracują na rzecz państwa, mają m.in. możliwość wysyłania maili z adresów w domenie @sejm.gov.pl. W ten sposób bez trudu mogłyby udawać obecnych pracowników Kancelarii Sejmu i pozyskiwać informacje, które wiele osób przekazywałoby im w zaufaniu.

Zalogowani użytkownicy mają również dostęp do listy kontaktów wszystkich pracowników Sejmu (czyli nie tylko posłów, lecz także osób wykonujących funkcje administracyjne), do której nie ma żaden zwykły śmiertelnik. Mogą również logować się na przeprowadzane zdalnie posiedzenia sejmowych komisji i podkomisji - także te, które nie są transmitowane publicznie.

Co ciekawe, osoby, które powinny być pozbawione dostępu kilka lat temu, mogą podejrzeć, jakie grupy utworzył administrator serwera pocztowego. Stąd wiemy, że gdy ABW wydawała oświadczenie o ataku na skrzynki wielu posłów, na sejmowym serwerze utworzona była grupa "ABW_zablokowani", w której znalazły się - cytujemy za administratorem sejmowego serwera - "osoby, których konta pocztowe zostały skompromitowane". I mimo że ABW wspomniała o incydentach dotyczących kilkunastu parlamentarzystów, w grupie "ABW_zablokowani" w momencie logowania znajdował się jedynie Michał Dworczyk.

- Taka konfiguracja grupy pod kątem widoczności i nazwy, jeśli faktycznie została stworzona przez administratorów Sejmu, ujawnia szczegóły, które raczej nie powinny być znane nikomu poza osobami zaangażowanymi w obsługę tego incydentu i ofiarą – załamuje ręce Piotr Konieczny, ekspert ds. bezpieczeństwa komputerowego i założyciel serwisu Niebezpiecznik.pl. I dodaje, że standardową procedurą bezpieczeństwa w każdej znanej mu bliżej firmie jest co najmniej unieważnienie dostępów (w tym haseł), a czasem nawet całkowite kasowanie kont pocztowych byłych pracowników.

- Niestety bardzo często podczas testów bezpieczeństwa widzimy, że w różnych firmowych systemach, nie tylko skrzynkach pocztowych, wciąż pozostają aktywne konta osób, które odeszły albo co gorsza zostały zwolnione. Problem w tym, że takie przeoczenie może sporo kosztować, bo zdarza się, że na osieroconych kontach znajdujemy ślady aktywności, a były właściciel konta np. od kilku miesięcy pracuje dla konkurencji - zaznacza Konieczny.

Nasz inny rozmówca, specjalista ds. cyberbezpieczeństwa z 10-letnim stażem (chce pozostać anonimowy), zauważa z kolei, że pozostawienie dostępu byłym pracownikom Kancelarii Sejmu do służbowej skrzynki pocztowej to proszenie się o kłopoty.

- Login i hasło umożliwiające wejście do sejmowego systemu i proste podszywanie się pod osobę uprawnioną do uzyskiwania szczególnych informacji mają swoją wartość. Trafiliście na przyzwoitych ludzi, którzy sprawdzili system w trosce o państwo. Ale ja się zastanawiam, ile jest osób, które mogły sprzedać dostępy w zamian za pieniądze? - zastanawia się ekspert.

Inna rzecz, że profesjonalni przestępcy nie musieliby nic kupować. Powód? Poziom zabezpieczeń skrzynek sejmowych jest – zdaniem części naszych rozmówców - gorszy niż przeciętnego banku w niewielkim mieście.

Od strony użytkownika: nie ma mowy o wieloskładnikowym uwierzytelnianiu. Jeśli więc nawet pracownik Kancelarii Sejmu bądź poseł chciał, aby zalogowanie się na jego skrzynkę było możliwe nie tylko po podaniu loginu i hasła, lecz także np. potwierdzeniu chęci zalogowania się za pośrednictwem smartfona, to nie ma takiej technicznej możliwości.

Nagłówki maili wysłanych na sejmowe skrzynki pocztowe, jak i te wysłane z Sejmu, pokazaliśmy ekspertom od cyberbezpieczeństwa i poprosiliśmy o opinię. Były miażdżące dla polskiego parlamentu.

Kłopotem są serwery pocztowe, z których korzysta Sejm. Jedne z nich to XMail. "Zabytek" – mówią o nim nasi eksperci. "Najnowsza" wersja została wypuszczona w 2010 r. Od tego czasu nie jest też "łatana", gdy pojawią się luki umożliwiające uzyskanie nieautoryzowanego dostępu.

Eksperci mówią nam, że jedyny powód, który uzasadnia korzystanie z tego serwera, to chęć redukcji kosztów. Najzwyczajniej w świecie za profesjonalnie tworzone systemy, które są aktualizowane przez twórców, trzeba zapłacić. I większość organizacji płaci. Bezpieczniejsze rozwiązania niż te stosowane przez Sejm wykorzystywane są w niemal wszystkich bankach, zakładach ubezpieczeń oraz dużych firmach w Polsce.

Z kolei inny serwer, z którego korzysta Sejm, a który znaleźliśmy w nagłówkach, to Domino. Grzegorz Tworek, specjalista IT z kilkudziesięcioletnim doświadczeniem, który 15 razy został nagrodzony przez Microsoft tytułem Most Valuable Professional, zwraca uwagę na lukę w jego zabezpieczeniach: - Do oprogramowania Domino, używanego na serwerach pocztowych Sejmu, wydawane są tak zwane "Fix Packi", których założeniem jest naprawa błędów bez wprowadzania jakichkolwiek zmian mogących wymagać dłuższego testowania czy przebudowania zależnych komponentów. Producent zastosował takie podejście, aby końcowy użytkownik, jakim tu jest Sejm, mógł zainstalować Fix Pack tak szybko, jak to tylko możliwe.

Ale nagłówek maila wysłanego z sejmowego konta sugeruje, że na serwerze jest wersja 11.0.1 Fix Pack 2, podczas gdy od kwietnia 2021 r. zalecany jest Fix Pack 3. Więc albo użytkownik jest mądrzejszy od tego, co mówi producent, albo wyraźnie zaniedbuje obowiązujące zalecenia – uważa Tworek.

Co to oznacza? - Oczywiście teoretycznie możliwe jest, że opóźnienie w instalacji pakietu poprawek wynika z obiektywnych technicznych przyczyn związanych z unikalnym charakterem środowiska Sejmu, jednak sytuacja taka jest mało prawdopodobna i należy uznać, że podobnie jak w innych podobnych przypadkach zawiodły procesy związane z aktualizacją i utrzymaniem oprogramowania – podsumowuje Grzegorz Tworek.

Przed publikacją tekstu zadaliśmy szereg pytań Centrum Informacyjnemu Sejmu. Między innymi czy w poczcie służbowej Sejmu jest stosowane dwustopniowe logowanie, czy serwery pocztowe są regularnie audytowane pod względem bezpieczeństwa i łatane wszystkimi dostępnymi aktualizacjami i w jaki sposób jest zabezpieczana zawartość skrzynek pocztowych pracowników, po zakończeniu przez nich pracy dla Sejmu.

Centrum Informacyjne Sejmu nie odpowiedziało wprost na żadne z powyższych pytań. W zamian dostaliśmy oświadczenie, z którego wynika, że "Kancelaria Sejmu traktuje sprawy bezpieczeństwa, w tym bezpieczeństwa cyfrowego, priorytetowo". Dowiedzieliśmy się, że "posłowie przechodzą szereg szkoleń bezpośrednio po objęciu mandatu, w tym z zakresu cyberbezpieczeństwa". Z kolei "tablety poselskie są włączone do systemu klasy MDM, dzięki któremu Ośrodek Informatyki Kancelarii Sejmu w sposób ciągły może aktualizować i wysyłać odpowiednie polityki bezpieczeństwa, a także aktualizować oprogramowanie, poprawiając w ten sposób poziom bezpieczeństwa".

Czy rosyjscy hakerzy mogli wejść na pocztę rządową? To podstawowe pytanie, które sobie zadaliśmy i które – jak wynika z naszej wiedzy – zadają sobie właśnie członkowie rządu.

Z tym pytaniem zwróciliśmy się do ekspertów ds. cyberbezpieczeństwa. I tu od razu wyjaśnimy: ani my, ani eksperci nie mamy narzędzi, by orzec ze stuprocentowym przekonaniem, czy hakerzy uzyskali dostęp do rządowej poczty. Nie próbowaliśmy też przełamywać jakichkolwiek zabezpieczeń. Weryfikować to mogą rodzime służby przy wsparciu Kancelarii Prezesa Rady Ministrów. Ale wnioski z naszych rozmów z ekspertami nie są optymistyczne.

Kancelaria Prezesa Rady Ministrów korzysta z Microsoft Exchange, jednego z najpopularniejszych systemów pocztowych na świecie. W ostatnich miesiącach Microsoft przyznał, że istnieją poważne luki w serwerach pocztowych Exchange, umożliwiające włamania do tychże serwerów.

W marcu amerykańska firma przyznała, że miesiącami istniała luka, która pozwalała na zdalne przejęcie całkowitej kontroli nad takim serwerami, jakich używa polski rząd. Dziś wiemy już, że ta luka była wykorzystywana przez grupę hakerów Hafnium, przez sam Microsoft zidentyfikowaną jako sponsorowaną przez chiński rząd. Ale mogły wykorzystywać ją również grupy powiązane z innymi krajami.

Agencja Reutersa informowała, że ofiarami hakerów mogły paść dziesiątki tysięcy firm oraz instytucji publicznych z całego świata.

Czy wśród nich był polski rząd? Odpowiedź na to pytanie ułatwił nam sam KPRM. Jako dziennikarze nieustannie wysyłamy pytania na rządowe adresy. Czasem dostajemy jakieś odpowiedzi. Maile, które w okresie ostatnich kilkunastu miesięcy wysłało nam Centrum Informacyjne Rządu, pokazaliśmy ekspertom od cyberbezpieczeństwa. Co wynika z ich analiz?

Otóż aż do 2020 r. w KPRM korzystano włącznie z wersji Exchange 2010. Dziś pocztę w KPRM napędza już Exchange 2016, choć w lipcu 2018 r. wyszła wersja MS Exchange 2019.

Czy wykorzystywanie w 2020 r. systemu, który wszedł na rynek w 2009 r., to kłopot?

- Korzystanie z leciwego oprogramowania samo w sobie nie oznacza, że doszło do włamania na rządowe serwery. Nie jestem jednak fanem stosowania rozwiązań wprowadzonych na rynek ponad dekadę temu. To jak z samochodem - oczywiście można mówić, że ten wieloletni jest wygodny, sprawdzony, wiemy, jak wszystko w nim działa. Ale mimo wszystko nowe modele najczęściej oferują więcej - mówi Maciej Jan Broniarz, architekt bezpieczeństwa i systemów informatycznych, wykładowca w Centrum Nauk Sądowych Uniwersytetu Warszawskiego. Zwraca przy tym uwagę, że gdy już zmieniano Exchange 2010 na nowszy, warto było pomyśleć o wersji 2019, a nie 2016.

- Administracja rządowa wpędza samą siebie w dług technologiczny. A to nigdy nie jest dobre - podkreśla Broniarz. Nie można też mówić – kontynuuje ekspert - że np. Exchange 2019 nie jest sprawdzony.

- Microsoft przed wprowadzeniem danej wersji na rynek dokładnie ją sprawdza, a potem wszelkie błędy są szybko korygowane – podkreśla.

Część z naszych rozmówców zaznaczyło, że nie rozumie tej zmiany. Exchange 2019 oferuje bowiem znacznie więcej funkcjonalności niż wersja 2016. Niektórzy zasugerowali, że być może na przeszkodzie stanęły pieniądze. Zapewnienie infrastruktury pocztowej dla rządu to wydatek, który można by liczyć w milionach zł.

Jak jednak zaznacza Maciej Jan Broniarz, dyskusja o kosztach - w kontekście, że mówimy o rozwiązaniach stosowanych przez rząd, mających na celu zabezpieczenie kluczowych dla funkcjonowania państwa informacji - powinna być zbędna.

- Moim zdaniem kłopotem nie jest brak pieniędzy, lecz niedostatki świadomości, jak należy działać. Nie pomaga ucinanie budżetów na wynagrodzenia dla specjalistów - twierdzi.

Zastrzeżenia ma też Łukasz Olejnik, niezależny badacz i konsultant cyberbezpieczeństwa, autor prywatnik.pl. Jego zdaniem korzystanie ze starej wersji systemu pocztowego należy uznać za krytyczny błąd w tak newralgicznym miejscu jak serwery rządowe.

Ale są też eksperci, którzy uważają inaczej. Szef dużej firmy zajmującej się analizami z zakresu cyberbezpieczeństwa mówi, że porównanie do samochodu jest dobre. Tyle że system pocztowy należy traktować nie jak całe auto, lecz jedynie jako silnik.

- Nie można patrzeć na oprogramowanie w oderwaniu np. od kontrolera domeny. Można co prawda kupić silnik z porsche i włożyć go do daewoo matiza, ale całość wtedy nie pojedzie jak porsche - zaznacza.

Inny z naszych rozmówców, specjalista z 10-letnim doświadczeniem, zaznacza, że nazwa systemu może być dla większości czytelników najistotniejsza, bo najprościej to zrozumieć, ale jest kwestią wtórną. Znacznie istotniejsze bowiem jest to, czy producent zapewnia wsparcie techniczne w postaci publikowania "łatek" – aktualizacji eliminujących dziury w zabezpieczeniach serwerów. A takie aktualizacje są dostępne nadal także dla wersji Exchange 2010.

- Kluczowe jest to, czy używana wersja Exchange – najpierw 2010, a potem 2016 - była "łatana", gdy tylko producent znajdował błędy i wypuszczał "łatki" – zaznacza fachowiec.

Tego jednoznacznie stwierdzić nie możemy, gdyż mamy tylko te informacje, które "wyciągnęliśmy" z nagłówków wysłanych do nas maili. Nie znamy więc stanu rządowych serwerów z każdego dnia, a jedynie na dni, w których otrzymywaliśmy wiadomości od przedstawicieli rządu.

Instalacja aktualizacji nie dzieje się automatycznie. Każda firma ma (a przynajmniej powinna mieć) swoją politykę bezpieczeństwa, określającą jej reguły. Odpowiadają za to konkretni ludzie.

Z przeprowadzonej na naszą prośbę analizy nagłówków maili od KPRM wynika, że ludzie odpowiedzialni w rządzie za dbanie o serwery pocztowe nie wykonywali najlepiej swojej pracy.

Grzegorz Tworek, specjalista IT, przypomnijmy - 15 razy nagrodzony przez Microsoft tytułem Most Valuable Professional, mówi wprost: - Nie możemy wykluczyć, że przez kilka miesięcy ktoś był na serwerach KPRM i my nawet o tym nie wiedzieliśmy.

Zdaniem Tworka "rytm aktualizacji dokonywanych na serwerach KPRM pokazuje, że osoby za tę kwestię odpowiedzialne nie były na bieżąco z wypuszczanymi aktualizacjami".

- Sposób instalowania aktualizacji był dość beztroski. Moim zdaniem albo administrator nie przestrzegał reguł określonych we właściwej polityce bezpieczeństwa, albo reguły obowiązujące w KPRM znacząco odstają od tych, które są powszechnie obowiązujące - twierdzi Tworek.

Co zaś oznaczałby fakt instalowania "łatek" z opóźnieniem? Najprościej mówiąc - że przestępcy mieli więcej czasu na dostanie się na rządowe serwery.

Właściciel firmy z branży cyberbezpieczeństwa: - Generalnie jeśli ktoś włamie się do sieci lokalnej organizacji, która wykorzystuje systemy Windows złączone w jeden wspólny organizm, to dalej jest już hulaj dusza, piekła nie ma. Od wielu lat przeprowadzam symulacje takich ataków. Jeszcze mi się nigdy nie zdarzyło, aby nie przeprowadzić skutecznego ataku (zalogowanie się na komputery i możliwość odczytania danych), a robię takie testy od lat dla szeregu powszechnie znanych firm.

Doktor Łukasz Olejnik przypomina, że w MS Exchange zidentyfikowano w ostatnich latach bardzo poważne podatności. Innymi słowy, było wiele aktualizacji, a serwer "niełatany" na bieżąco umożliwiał jego penetrację przez osoby nieuprawnione do dostępu.

- Moim zdaniem w zaistniałej sytuacji powinniśmy oczekiwać oficjalnego wyjaśnienia tej sytuacji, z podanymi datami i zawartością zmian - podkreśla Olejnik.

Zadaliśmy szereg pytań pełnomocnikowi rządu ds. cyberbezpieczeństwa Januszowi Cieszyńskiemu. Odpowiedzi przysłał nam wydział promocji polityki cyfrowej w KPRM.

Spytaliśmy, czy serwery pocztowe rządu są regularnie audytowane pod względem bezpieczeństwa i łatane wszystkimi dostępnymi aktualizacjami? Przesłano nam odpowiedź, że testuje je zespół reagowania na incydenty bezpieczeństwa - CSIRT GOV Agencji Bezpieczeństwa Wewnętrznego. "Kwestia aktualizacji oprogramowania oraz stosowania poprawek w celu ograniczania potencjalnego wpływu podatności oprogramowania jest przedmiotem rekomendacji przekazywanych na bieżąco przez zespół CSIRT GOV, wraz z adresami IP stron wykorzystywanych do cyberataków na użytkowników w Polsce".

Dlaczego KPRM korzysta z systemu pocztowego, który znaczna część ekspertów określa mianem przestarzałego? "Administracja rządowa, podobnie jak siły zbrojne w wielu państwach najczęściej korzysta nie z najnowszych, ale już dojrzałych wersji oprogramowania, w których wykryto i usunięto większość błędów. Ponadto, administracja rządowa i siły zbrojne korzystają często z certyfikowanego oprogramowania (…) a wersje, które zostały poddane badaniom i certyfikacji wchodzą do użytkowania z opóźnieniem w stosunku do najnowszych wersji oprogramowania" – odpisał nam KPRM.

Zapytaliśmy Janusza Cieszyńskiego, czy w poczcie służbowej używanej w KPRM oraz ministerstwach jest stosowane dwuskładnikowe uwierzytelnianie przy logowaniu do poczty. Poinformowano nas, że "zabezpieczenia stosowane w kontroli dostępu do służbowych skrzynek pocztowych w systemie KPRM realizowane są na kilku poziomach. Nie jest możliwe zalogowanie się do służbowej skrzynki pocztowej tylko przy znajomości identyfikatora i hasła. Ponadto, trwa proces modernizacji systemu komunikacji cyfrowej KPRM obejmującego pocztę elektroniczną, komunikację audio, wideo i czat oraz repozytoria plików".

Środek tygodnia, wczesny wieczór. Członek rządu loguje się do swojej skrzynki pocztowej z prywatnego komputera, który znajduje się w jego gabinecie w Warszawie. 10 minut później ten sam członek rządu oszukuje system, korzystając z VPN, czyli rozwiązania pozwalającego udawać, że osoba łączy się z innego miejsca niż się rzeczywiście znajduje. Polityk wybiera Tajwan. Loguje się do skrzynki pocztowej, pobiera nowe wiadomości. Mija kolejne 10 minut, jest kolejne logowanie i kolejne ściągnięcie poczty. Znów z Warszawy.

Na taki eksperyment namówiliśmy jednego z członków gabinetu Mateusza Morawieckiego. Po to, by sprawdzić, czy ktokolwiek odezwie się do polityka w tej sprawie. Bądź co bądź, doszło do niecodziennej aktywności, która w rzeczywistości była wręcz niemożliwa. Nie da się bowiem być w jednej chwili w Warszawie, by kilkanaście minut później logować się z Tajwanu.

W ciągu dwóch tygodni nikt do polityka, który pomógł nam przeprowadzić eksperyment, się nie odezwał. Czy ktoś niecodzienną aktywność w ogóle zauważył – nie wiemy.

Wiemy za to, że osoby obejmujące kluczowe stanowiska w państwie nie są szczegółowo szkolone w zakresie cyberbezpieczeństwa. Funkcjonariusze służb nie informują ich precyzyjnie o zasadach korzystania z urządzeń, zabezpieczenia sprzętu. Jednocześnie większość członków rządu może bez trudu logować się do swojej skrzynki pocztowej z prywatnych urządzeń. To pewien paradoks, bo znacznie lepszy system szkoleń obowiązuje szeregowych urzędników.

W wielu ministerstwach nadal nie jest stosowane dwuskładnikowe uwierzytelnianie. Z naszych informacji wynika, że przynajmniej do maja 2021 r. nie było go choćby w resorcie zdrowia, który odpowiada m.in. za negocjacje cenowe z koncernami farmaceutycznymi i wielomiliardowe wydatki. Biuro prasowe resortu zdrowia jednak odmówiło nam odpowiedzi na nasze pytania, wskazując, że sposoby zabezpieczeń skrzynek pocztowych są tajemnicą. Niemal żadnych zabezpieczeń nie było też w nieistniejącym już Ministerstwie Cyfryzacji. Wystarczyło znać login i hasło, aby wejść na skrzynkę osób, które projektowały rozwiązania mające wykluczyć z polskiego rynku firmę Huawei za szpiegostwo na rzecz Chin.

Dla jasności: są resorty, gdzie jest znacznie lepiej. Zaawansowane procedury uwierzytelniania stosują (tak przekazały nam w odpowiedziach na nasze pytania) m.in. resorty obrony narodowej oraz sprawiedliwości.

To, co rzuca się w oczy i na co zwracają uwagę nasi rozmówcy: w jednym rządzie stosowanych jest co najmniej kilka, a być może kilkanaście różnych rozwiązań. Co musi wprowadzać chaos w komunikacji.

- Wycieki z poczty szefa KPRM Michała Dworczyka pokazały zresztą, że nie trzeba mieć dostępu do wszystkich skrzynek. Mając dostęp do jednej, można uzyskać dostęp do korespondencji prowadzonej przez szereg innych osób - zwraca uwagę jeden z ekspertów.

Maciej Jan Broniarz uważa, że największy kłopot dotyczy nie wykorzystywanego oprogramowania, lecz podejścia ludzi.

- W kancelariach adwokackich czy zakładach ubezpieczeń zablokowana lub mocno ograniczona jest możliwość przesyłania jakichkolwiek treści z kont służbowych na prywatne. Tymczasem na najwyższych rządowych szczeblach, jak widzimy, jest to powszechne. Choćby było najnowsze oprogramowanie, a wszelkie błędy byłyby naprawiane natychmiast, nie sposób mówić o przestrzeganiu zasad cyberbezpieczeństwa, jeśli kluczowi pracownicy łamią podstawowe zasady postępowania – zaznacza wykładowca z UW.

Brakuje zresztą ludzi, którzy mogliby polityków szkolić, a serwery chronić.

Kancelaria Prezesa Rady Ministrów we wrześniu 2020 r. wskazała publicznie, że chce zatrudnić w administracji publicznej nowych specjalistów ds. cyberbezpieczeństwa.

Zablokowało to Ministerstwo Finansów. Nie spodobało mu się, że ludzie ci mieliby zarabiać nawet 18 tys. zł brutto miesięcznie.

Przed publikacją tekstu nasze ustalenia zostały przekazane odpowiednim instytucjom.